Политика безопасности при работе в Интернете

Содержание

Введение 1.1. Цель 1.2. Для кого эта книга 1.3. Основы Интернета 1.4. Зачем разрабатывать политику безопасности для работы в Интернете? 1.5. Основные типы политики 2. Общие принципы 2.1. Что там должно быть 2.2. Получение разрешения 2.3. Претворение политики в жизнь 2.4. Примеры описания общих принципов работы в Интернете в политиках 3.Анализ риска 3.1. Угрозы/видимость 3.2. Уязвимость/последствия 3.3. Матрица профиля 3.4. Учет информационных ценностей 3.5. Система общего назначения 3.6. Критические приложения 3.7. Классификация данных 4. Коммерческие требования 4.1. Удаленный доступ 4.2. Коммутируемое соединение 4.3. Telnet/X Windows 4.4. Переносные компьютеры 4.5. Электронная почта 4.6. Публикация информации 4.7. Исследования 4.8. Электронная коммерция 4.9. Электронный обмен данными 4.10. Информационные транзакции 4.11. Финансовые транзакции 4.12. Постоянная доступность для взаимодействия 4.13. Легкость использования 4.14. Единовременная регистрация 4.15. Разработка пользовательского интерфейса 5. Примеры областей, для которых нужны политики 5.1. Идентификация и аутентификация 5.2. Контроль за импортом программ 5.3. Шифрование 5.4. Архитектура системы 5.5. Улаживание происшествий с безопасностью 5.6. Организационные меры 5.7. Обучение пользователей 6. Политика безопасности брандмауэров 6.1. Основы и цель 6.2. Аутентификация 6.3. Анализ возможностей маршрутизации и прокси-серверов 6.4. Типы брандмауэров 6.5. Архитектуры брандмауэра 6.6. Интранет 6.7. Администрирование брандмауэра 6.8. Доверительные взаимосвязи в сети 6.9. Виртуальные частные сети (VPN) 6.10. Отображение имен в адреса с помощью DNS 6.11. Целостность системы 6.12. Документация 6.13. Физическая безопасность брандмауэра 6.14. Действия при попытках нарушения безопасности 6.15. Восстановление сервисов 6.16. Усовершенствование брандмауэра 6.17. Пересмотр политики безопасности для брандмауэра 6.18. Системные журналы (сообщения о событиях и итоговые отчеты) 6.19. Примеры политик 6.20. Примеры специфических политик для отдельных сервисов 6.21. Начальник отдела 6.22. Сотрудник отдела автоматизации

Введение

 

1.1. Цель

Этот документ создан для того, чтобы помочь организации создать согласованную политику безопасности для работы в Интернете. Он содержит краткий обзор Интернета и его протоколов. Он рассматривает основные виды использования Интернета и их влияние на политику безопасности. Кроме того, в нем есть примеры политик безопасности для сред с низким, средним и высоким уровнем угроз.

Читатели, которым требуется более общая информация о компьютерной безопасности, могут прочитать NIST Special Publication 800-12, An Introduction to Computer Security: The NIST Handbook.

1.2. Для кого эта книга

This document was written for readers involved in policy issues at three distinct levels:

Этот документ был написан для тех, кто участвует в разработке политики безопасности на трех уровнях:

Лица из верхнего звена управления организацией, которым требуется понимать некоторые риски и последствия использования Интернета, чтобы они могли рационально распределить ресурсы и назначить ответственных за те или иные вопросы. Начальники подразделений организации, которым требуется разрабатывать специфические политики безопасности Администраторы организации, которым нужно понимать, почему им надо применять те или иные программно-аппаратные средства для защиты, и каковы причины использования организационных мер и правил работы в Интернете, которым им надо будет обучать пользователей Интернета в организации. 1.3. Основы Интернета

Интернет - это всемирная "сеть сетей", которая использует для взаимодействия стек протоколов TCP/IP (Transmission Control Protocol/Internet Protocol). Интернет был создан для облегчения взаимодействия между организациями, выполняющими правительственные заказы. В 80-е годы к нему подключились учебные заведения, правительственные агентства, коммерческие фирмы и международные организации. В 90-е годы Интернет переживает феноменальный рост. Сейчас к Интернету присоединены миллионы пользователей, приблизительно половина из которых - коммерческие пользователи. Сейчас Интернет используется как основа Национальной Информационной Инфраструктуры США(NII).

1.4. Зачем разрабатывать политику безопасности для работы в Интернете?

Хотя подключение к Интернету и предоставляет огромные выгоды из-за доступа к колоссальному объему информации, оно же является опасным для сайтов с низким уровнем безопасности. Интернет страдает от серьезных проблем с безопасностью, которые, если их игнорировать, могут привести к катастрофе для неподготовленных сайтов. Ошибки при проектировании TCP/IP, сложность администрирования хостов, уязвимые места в программах, и ряд других факторов в совокупности делают незащищенные сайты уязвимыми к действиям злоумышленников.

Организации должны ответить на следующие вопросы, чтобы правильно учесть возможные последствия подключения к Интернету в области безопасности:

Могут ли хакеры разрушить внутренние системы? Может ли быть скомпрометирована( изменена или прочитана) важная информация организации при ее передаче по Интернету? Можно ли помешать работе организации?

Все это - важные вопросы. Существует много технических решений для борьбы с основными проблемами безопасности Интернета. Тем не менее, все они имеют свою цену. Многие решения ограничивают функциональность ради увеличения безопасности. Другие требуют идти на значительные компромиссы в отношении легкости использования Интернета. Третьи требуют вложения значительных ресурсов - рабочего времени для внедрения и поддержания безопасности и денег для покупки и сопровождения оборудования и программ.

Цель политики безопасности для Интернета - принять решение о том, как организация собирается защищаться. Политика обычно состоит из двух частей - общих принципов и конкретных правил работы( которые эквивалентны специфической политике, описанной ниже). Общие принципы определяют подход к безопасности в Интернете. Правила же определяют что разрешено, а что - запрещено. Правила могут дополняться конкретными процедурами и различными руководствами.

Правда, существует и третий тип политики, который встречается в литературе по безопасности в Интернете. Это - технический подход. В этой публикации под техническим подходом будем понимать анализ, который помогает выполнять принципы и правила политики. Он, в основном, слишком техничен и сложен для понимания руководством организации. Поэтому он не может использоваться так же широко, как политика. Тем не менее, он обязателен при описании возможных решений, определяющих компромиссы, которые являются необходимым элементом при описании политики.

Чтобы политика для Интернета была эффективной, разработчики политики должны понимать смысл компромиссов, на которые им надо будет пойти. Эта политика также не должна противоречить другим руководящим документам организации. Данная публикация пытается дать техническим специалистам информацию, которую им надо будет объяснить разработчикам политики для Интернета. Она содержит эскизный проект политики, на основе которого потом можно будет принять конкретные технические решения.

Интернет - это важный ресурс, который изменил стиль деятельности многих людей и организаций. Тем не менее, Интернет страдает от серьезных и широко распространенных проблем с безопасностью. Много организаций было атаковано или зондировано злоумышленниками, в результате чего они понесли большие финансовые потери и утратили свой престиж. В некоторых случаях организации были вынуждены временно отключиться от Интернета и потратили значительные средства на устранение проблем с конфигурациями хостов и сетей. Сайты, которые неосведомлены или игнорируют эти проблемы, подвергают себя риску сетевой атаки злоумышленниками. Даже те сайты, которые внедрили у себя меры по обеспечению безопасности, подвергаются тем же опасностям из-за появления новых уязвимых мест в сетевых программах и настойчивости некоторых злоумышленников.

Фундаментальная проблема состоит в том, что Интернет при проектировании и не задумывался как защищенная сеть. Некоторыми его проблемами в текущей версии TCP/IP являются:

Легкость перехвата данных и фальсификации адресов машин в сети - основная часть трафика Интернета - это нешифрованные данные. E-mail, пароли и файлы могут быть перехвачены, используя легко доступные программы. Уязвимость средств TCP/IP - ряд средств TCP/IP не был спроектирован быть защищенными и может быть скомпрометирован квалифицированными злоумышленниками; средства, используемые для тестирования особенно уязвимы. Отсутствие политики - многие сайты по незнанию сконфигурированы таким образом, что предоставляют широкий доступ к себе со стороны Интернета, не учитывая возможность злоупотребления этим доступом; многие сайты разрешают работу большего числа сервисов TCP/IP, чем им требуется для работы и не пытаются ограничить доступ к информации о своих компьютерах, которая может помочь злоумышленникам. Сложность конфигурирования - средства управления доступом хоста сложны; зачастую сложно правильно сконфигурировать и проверить эффективность установок . Средства, которые по ошибке неправильно сконфигурированы, могут привести к неавторизованному доступу. 1.5. Основные типы политики

Термин Политика компьютерной безопасности имеет различное содержание для различных людей. Это может быть директива одного из руководителей организации по организации программы компьютерной безопасности., устанавливающая ее цели и назначающая ответственных за ее выполнение. Или это может быть решение начальника отдела в отношении безопасности электронной почты или факсов. Или это могут быть правила обеспечения безопасности для конкретной системы (это такие типы политик, про которые эксперты в компьютерной безопасности говорят, что они реализуются программно-аппаратными средствами и организационными мерами). В этом документе под политикой компьютерной безопасности будем понимать документ, в котором описаны решения в отношении безопасности. Под это определение подпадают все типы политики, описанные ниже.

При принятии решений администраторы сталкиваются с проблемой совершения выбора на основе учета принципов деятельности организации, соотношения важности целей, и наличия ресурсов. Эти решения включают определение того, как будут защищаться технические и информационные ресурсы, а также как должны вести себя служащие в тех или иных ситуациях.

Необходимым элементом политики является принятие решения в отношении данного вопроса. Оно задаст направление деятельности организации. Для того чтобы политика была успешной, важно, чтобы было обоснованно выбрано одно направление из нескольких возможных.

2. Общие принципы 2.1. Что там должно быть

Как описано в "NIST Computer Security Handbook", обычно политика должна включать в себя следующие части:.

Предмет политики. Для того чтобы описать политику по данной области, администраторы сначала должны определить саму область с помощью ограничений и условий в понятных всем терминах (или ввести некоторые из терминов). Часто также полезно явно указать цель или причины разработки политики - это может помочь добиться соблюдения политики. В отношении политики безопасности в Интернете организации может понадобиться уточнение, охватывает ли эта политика все соединения, через которые ведется работа с Интернетом (напрямую или опосредованно) или собственно соединения Интернет. Эта политика также может определять, учитываются ли другие аспекты работы в Интернете, не имеющие отношения к безопасности, такие как персональное использование соединений с Интернетом.

Описание позиции организации. Как только предмет политики описан, даны определения основных понятий и рассмотрены условия применения политики, надо в явной форме описать позицию организации (то есть решение ее руководства) по данному вопросу. Это может быть утверждение о разрешении или запрете пользоваться Интернетом и при каких условиях.

Применимость. Проблемные политики требуют включения в них описания применимости. Это означает, что надо уточнить где, как, когда, кем и к чему применяется данная политика.

Роли и обязанности. Нужно описать ответственных должностных лиц и их обязанности в отношении разработки и внедрения различных аспектов политики. Для такого сложного вопроса, как безопасность в Интернете, организации может потребоваться ввести ответственных за анализ безопасности различных архитектур или за утверждение использования той или иной архитектуры.

Соблюдение политики. Для некоторых видов политик Интернета может оказаться уместным описание, с некоторой степенью детальности, нарушений , которые неприемлемы, и последствий такого поведения. Могут быть явно описаны наказания и это должно быть увязано с общими обязанностями сотрудников в организации. Если к сотрудникам применяются наказания, они должны координироваться с соответствующими должностными лицами и отделами. Также может оказаться полезным поставить задачу конкретному отделу в организации следить за соблюдением политики.

Консультанты по вопросам безопасности и справочная информация. Для любой проблемной политики нужны ответственные консультанты, с кем можно связаться и получить более подробную информацию. Так как должности имеют тенденцию изменяться реже, чем люди, их занимающие, разумно назначить лицо, занимающее конкретную должность как консультанта. Например, по некоторым вопросам консультантом может быть один из менеджеров, по другим - начальник отдела, сотрудник технического отдела, системный администратор или сотрудник службы безопасности. Они должны уметь разъяснять правила работы в Интернете или правила работы на конкретной системе.

2.2. Получение разрешения

Что такое организация? Политика (хорошая политика) может быть написана только для группы людей с близкими целями. Поэтому организации может потребоваться разделить себя на части, если она слишком велика или имеет слишком различные цели, чтобы быть субъектом политики безопасности в Интернете. Например, NIST - это агентство Министерства Торговли(МТ) США. Задачи NIST требуют постоянного взаимодействия с научными организациями в среде открытых систем. К другому подразделению МТ, Бюро переписи, предъявляется требование поддержания конфиденциальности ответов на вопросы при переписи. При таких различных задачах и требованиях разработка общей политики безопасности МТ, наверное, невозможна. Даже внутри NIST существуют большие различия в отношении задач и требований к их выполнению, поэтому большинство политик безопасности Интернета разрабатываются на более низком уровне.

Координация с другими проблемными политиками. Интернет - это только один из множества способов, которыми организация обычно взаимодействует с внешними источниками информации. Политика Интернета должна быть согласована с другими политиками в отношении взаимоотношений с внешним миром. Например:

Физический доступ в здания и на территорию организации. Интернет - это как бы электронная дверь в организацию. В одну и ту же дверь может войти как добро, так и зло. Организация, территория которой открыта для входа, наверное, уже приняла решение на основе анализа рисков, что открытость либо необходима для выполнения организацией своих задач, либо угроза слишком мала, что ей можно пренебречь. Аналогичная логика применима к электронной двери. Тем не менее, существуют серьезные отличия. Физические угрозы более привязаны к конкретному физическому месту. А связь с Интернетом - это связь со всем миром. Организация, чья территория находится в спокойном и безопасном месте, может разрешать вход на свою территорию, но иметь строгую политику в отношении Интернета.

Взаимодействие со средствами массовой информации. Интернет может быть формой для общения с обществом. Многие организации инструктируют сотрудников, как им вести себя с корреспондентами или среди людей при работе. Эти правила следовало бы перенести и на электронное взаимодействие. Многие сотрудники не понимают общественный характер Интернета.

Электронный доступ. Интернет - это не единственная глобальная сеть. Организации используют телефонные сети и другие глобальные сети(например, SPRINT) для организации доступа удаленных пользователей к своим внутренним системам. При соединении с Интернетом и телефонной сетью существуют аналогичные угрозы и уязвимые места.

2.3. Претворение политики в жизнь

Не думайте, что как только ваша организация разработает большое число политик, директив или приказов, больше ничего не надо делать. Оглянитесь кругом и посмотрите, соблюдают ли формально написанные документы (это в России-то ?!). Если нет, то вы можете либо попытаться изменить сам процесс разработки документов в организации (вообще трудно, но тем не менее возможно), либо оценить, где имеются проблемы с ее внедрением и устранять их. (Если вы выбрали второе, вам вероятно понадобятся формальные документы).

Так как, к сожалению, разработка неформальной политики выходит за рамки данной публикации, этот очень важный процесс не будет здесь описан. Большинство политик обычно определяют то, что хочет большой начальник. Чтобы политика безопасности в Интернете была эффективной, большой начальник должен понимать, какой выбор нужно сделать и делать его самостоятельно. Обычно, если большой начальник доверяет разработанной политике, она будет корректироваться с помощью неформальных механизмов.

Некоторые замечания по поводу политики

Для эффективности политика должна быть наглядной. Наглядность помогает реализовать политику, помогая гарантировать ее знание и понимание всеми сотрудниками организации. Презентации, видеофильмы, семинары, вечера вопросов и ответов и статьи во внутренних изданиях организации увеличивают ее наглядность. Программа обучения в области компьютерной безопасности и контрольные проверки действий в тех или иных ситуациях могут достаточно эффективно уведомить всех пользователей о новой политике. С ней также нужно знакомить всех новых сотрудников организации.

Политики компьютерной безопасности должны доводиться таким образом, чтобы гарантировалась поддержка со стороны руководителей отделов, особенно, если на сотрудников постоянно сыплется масса политик, директив, рекомендаций и приказов. Политика организации - это средство довести позицию руководства в отношении компьютерной безопасности и явно указать, что оно ожидает от сотрудников в отношении производительности их работы, действий в тех или иных ситуациях и регистрации своих действий.

Для того чтобы быть эффективной, политика должна быть согласована с другими существующими директивами, законами, приказами и общими задачами организации. Она также должна быть интегрирована в и согласована с другими политиками (например, политикой по приему на работу). Одним из способов координации политик является согласование их с другими отделами в ходе разработки.

2.4. Примеры описания общих принципов работы в Интернете в политиках

В этом разделе приводятся краткие примеры политик. Конечно, возможны и другие форматы, другая степень детализации. Задача этих примеров - помочь читателю понять принципы их разработки.

Первый пример - организация, которая решила не ограничивать никоим образом взаимодействие с Интернетом. Хотя этот курс и чреват многим опасностями в отношении безопасности, он может оказаться наилучшим выбором для организации, которой требуется открытость или в которой нет постоянного контроля начальников отделов за работой подчиненных. В целом таким организациям можно посоветовать выделить наиболее важные данные и обрабатывать их отдельно. Например, некоторые университеты и колледжи нуждаются в подобной среде для обучения студентов (но не для административных систем).

Второй пример - типовая политика. Внутренние и внешние системы разделяются с помощью брандмауэра. Тем не менее, большинство интернетовских служб все-таки доступны внутренним пользователям. Как правило в качестве брандмауэра используется шлюз, присоединенный к двум сетям или хост-бастион. Тем не менее, этот подход также может быть реализован с помощью криптографии для создания виртуальных частных сетей или туннелей в Интернете.

Третий пример - организация, которой требуется больше безопасности, чем это могут дать интернетовские сервисы. Единственным сервисом, который нужен организации, является электронная почта. Компания обычно имеет информационный сервер в Интернете, но он не соединен с внутренними системами.

3.Анализ риска

В настоящее время выделение финансовых и человеческих ресурсов на обеспечение безопасности ограничено, и требуется показать прибыль от вложений в них. Инвестиции в информационную безопасность могут рассматриваться как инвестиции для увеличения прибыли путем уменьшения административных затрат на ее поддержание или для защиты от потери прибыли путем предотвращения потенциальных затрат в случае негативных коммерческих последствий. В любом случае стоимость средств обеспечения безопасности должна соответствовать риску и прибыли для той среды, в которой работает ваша организация.

Говоря простым языком, риск - это ситуация, когда угроза использует уязвимое место для нанесения вреда вашей системе. Политика безопасности обеспечивает основу для внедрения средств обеспечения безопасности путем уменьшения числа уязвимых мест и как следствие уменьшает риск. Для того чтобы разработать эффективную и недорогую политику безопасности для защиты соединений с Интернетом, нужно выполнить тот или иной анализ риска для оценки требуемой жесткости политики, который определит необходимые затраты на средства обеспечения безопасности для выполнения требований политики. То, насколько жесткой будет политика, зависит от:

Уровня угроз, которым подвергается организация и видимость организации из внешнего мира Уязвимости организации к последствиям потенциальных инцидентов с безопасностью Государственных законов и требований вышестоящих организаций, которые могут явно определять необходимость проведения того или иного вида анализа риска или диктовать применение конкретных средств обеспечения безопасности для конкретных систем, приложений или видов информации.

Отметим, что здесь не учитывается ценность информации или финансовые последствия инцидентов с безопасностью. В прошлом такие оценки стоимости требовались как составная часть формального анализа риска в попытке осуществить оценку ежегодной прибыли при затратах на безопасность. По мере того, как зависимость государственных и коммерческих организаций от глобальных сетей становилась большей, потери от инцидентов с безопасностью, которые практически невозможно оценить в деньгах, стали равными или большими, чем вычисляемые затраты. Время администраторов информационной безопасности может более эффективно потрачено на обеспечение гарантий внедрения "достаточно хорошей безопасности", чем на расчет стоимости чего-либо худшего, чем полная безопасность.

Для организаций, деятельность которых регулируется законами, или которые обрабатывают информацию, от которой зависит жизнь людей, могут оказаться более приемлемыми формальные методы оценки риска. В Интернете есть ряд источников информации по этому вопросу. Следующие разделы содержат методологию для быстрой разработки профиля риска вашей организации.

3.1. Угрозы/видимость

Угроза - это любое событие, которое потенциально может нанести вред организации путем раскрытия, модификации или разрушения информации, или отказа в обслуживании критическими сервисами. Угрозы могут быть неумышленными, такими как те, что вызываются ошибками человека, сбоями оборудования или программ, или стихийными бедствиями. Умышленные угрозы могут быть разделены на ряд групп - от логичных (получение чего-либо без денег) до иррациональных (разрушение информации). Типичными угрозами в среде Интернета являются:

Сбой в работе одной из компонент сети -сбой из-за ошибок при проектировании или ошибок оборудования или программ может привести к отказу в обслуживании или компрометации безопасности из-за неправильного функционирования одной из компонент сети. Выход из строя брандмауэра или ложные отказы в авторизации серверами аутентификации являются примерами сбоев, которые оказывают влияние на безопасность. Сканирование информации - неавторизованный просмотр критической информации злоумышленниками или авторизованными пользователями может происходить, используя различные механизмы - электронное письмо с неверным адресатом, распечатка принтера, неправильно сконфигурированные списки управления доступом, совместное использование несколькими людьми одного идентификатора и т.д. Использование информации не по назначению - использование информации для целей, отличных от авторизованных, может привести к отказу в обслуживании, излишним затратам, потере репутации. Виновниками этого могут быть как внутренние, так и внешние пользователи. Неавторизованное удаление, модификация или раскрытие информации - специальное искажение информационных ценностей, которое может привести к потере целостности или конфиденциальности информации. Проникновение - атака неавторизованных людей или систем, которая может привести к отказу в обслуживании или значительным затратам на восстановление после инцидента. Маскарад -попытки замаскироваться под авторизованного пользователя для кражи сервисов или информации, или для инициации финансовых транзакций, которые приведут к финансовым потерям или проблемам для организации.

Наличие угрозы необязательно означает, что она нанесет вред. Чтобы стать риском, угроза должна использовать уязвимое место в средствах обеспечения безопасности системы (рассматриваются в следующем разделе) и система должна быть видима из внешнего мира. Видимость системы - это мера как интереса злоумышленников к этой системе, так и количества информации, доступной для общего пользования на этой системе.

Все организации, имеющие доступ к Интернету, в некоторой степени видимы для внешнего мира хотя бы с помощью своего имени в DNS. Тем не менее, некоторые организации видимы более, чем другие, и уровень видимости может меняться регулярным образом или в зависимости от каких-нибудь событий. Так Служба Внутреннего Контроля более видна, чем Орнитологический Отдел. Exxon стал более видимым после катастрофы в Valdez, а MFS стал менее видимым после приобретения его WorldCom.

Так как многие угрозы, основанные на Интернете, являются вероятностными по своей природе, уровень видимости организации напрямую определяет вероятность того, что враждебные агенты будут пытаться нанести вред с помощью той или иной угрозы. В Интернете любопытные студенты, подростки-вандалы, криминальные элементы, промышленные шпионы могут являться носителями угрозы. По мере того как использованеи глобальных сетей для электронной коммерции и критических задач увеличивается, число атак криминальных элементов и шпионов будет увеличиваться.

3.2. Уязвимость/последствия

Организации по-разному уязвимы к риску. Политики безопасности должны отражать уязвимость конкретной организации к различным типам инцидентов с безопасностью и делать приоритетными инвестиции в области наибольшей уязвимости.

Имеется два фактора, определяющих уязвимость организации. Первый фактор - последствия инцидента с безопасностью. Почти все организации уязвимы к финансовым потерям - устранение последствий инцидентов с безопасностью может потребовать значительных вложений, даже если пострадали некритические сервисы. Тем не менее , средства переноса риска (страхование или пункты в договорах) могут гарантировать, что даже финансовые потери не приведут к кризису организации.

Одним из важных шагов при определении возможных последствий является ведение реестра информационных ценностей, обсуждаемое более детально в пункте 3.4. Хотя это и кажется простым, поддержание точного списка систем , сетей, компьютеров и баз данных, использующихся в организации, является сложной задачей. Организации должны объединить этот список с результатами работ по классификации данных, рассматриваемыми в пункте 3.7, в ходе которых информация, хранимая в онлайновом режиме, классифицируется по степени важности для выполнения организацией своих задач.

Более серьезные последствия возникают, когда нарушается внутренняя работа организации, что приводит к убыткам из-за упущенных возможностей, потерь рабочего времени и работ по восстановлению работы. Самые серьезные последствия - это когда затрагиваются внешние функции, такие как доставка продукции потребителям или прием заказов. Эти последствия инцидента с безопасностью напрямую вызывают финансовые убытки из-за нарушения работы служб, или из-за потенциальной потери доверия клиентов в будущем.

Второй фактор - это учет политических или организационных последствий. В некоторых корпорациях верхний уровень руководства организацией может подумать, прочитав статью в известной газете о проникновении в их сеть, что произошла катастрофа, даже если при это организация не понесла никаких финансовых убытков. В более открытых средах, таких как университеты или научные центры, руководство может на основании инцидента принять решение о введении ограничений на доступ. Эти факторы надо учитывать при определении уязвимости организации к инцидентам с безопасностью.

3.3. Матрица профиля

Таблица 3.1 Матрица профиля риска

Угрозы	Рейтинг	Видимость	Рейтинг	Число очков
Ни одна из угроз не считается реальной	1	Очень маленькая	1
Возможность возникновения угроз тяжело оценить	3	Средняя, периодические публикации об организации	3
Угрозы реальны, имел место ряд случаев их возникновения	5	Большая, постоянные публикации об организации	5
Последствия	Рейтинг	Уязвимость	Рейтинг	Число очков
Финансовых потерь не будет, возможные последствия учтены в бюджете или предприняты меры по переносу риска	1	Инциденты считаются приемлемыми как необходимое условие бизнеса; руководство организации с пониманием относится к этому	1
Будут затронуты внутренние функции организации, превышен бюджет, потеряны возможности получить прибыль	3	Инцидент повлияет на позицию среднего звена управления, исчезнет доброжелательное отношение начальства к безопасности	3
Будут затронуты внешние функции организации, нанесен большой финаносвый ущерб	5	Руководители организации станут жестче относиться к безопасности ,пострадают взаимоотношения с деловыми партнерами	5
	Общее число очков:

Рейтинг: Значение для угроз умножается на значение для видимости, а значение для последствий умножается на значение для уязвимости. Затем эти два числа складываются:

2 - 10: низкий риск 11 - 29: средний риск 30 - 50: высокий риск 3.4. Учет информационных ценностей

Чтобы гарантировать защиту всех информационных ценностей, и то, что текущая вычислительная Среда организации может быть быстро восстановлена после инцидента с безопасностью, каждый сетевой администратор должен вести учет информационных систем в его зоне ответственности. Список должен включать в себя все существующую аппаратную часть вычислительной Среды, программы, электронные документы, базы данных и каналы связи.

Для каждой информационной ценности должна быть описана следующая информация:

Тип: оборудование, программа, данные Используется в системе общего назначения или критическом приложении Ответственный за данную информационную ценность Ее физическое или логическое местоположение Учетный номер, где это возможно. 3.5. Система общего назначения

Система общего назначения - это "взаимосвязанный набор информационных ресурсов, которые находятся под единым административным управлением, позволяющих решать общие(неспецифические) задачи или обеспечивать их выполнение". Обычно задачей систем общего назначения является обеспечение обработки или взаимодействия между приложениями. Системы общего назначения включают в себя компьютеры, сети и программы, которые обеспечивают работу большого числа приложений, и обычно администрируются и сопровождаются отделом автоматизации в организации.

Политика безопасности для систем общего назначения как правило применима и для Интернета, так как сервера, коммуникационные программы и шлюзы, обеспечивающие связь с Интернетом, обычно находятся под единым управлением.

3.6. Критические приложения

Все приложения требуют некоторого уровня безопасности, и адекватная безопасность для большинства из них обеспечивается средствами безопасности систем общего назначения, в рамках которых они функционируют. Тем не менее, некоторые приложения, из-за специфического характера хранимой и обрабатываемой в них информации, требуют специальных мер контроля и считаются критическими. Критическое приложение - это задача, решаемая с помощью компьютеров или сетей, от успешности решения которой серьезно зависит возможность существования организации или выполнения ею своего назначения.

Примерами критических приложений могут служить системы биллинга, учета заработной платы, другие финансовые системы и т.д. Так как большинство пользователей тратит основную часть своего времени на взаимодействие с одним из критических приложений, требуется включение курсов по информационной безопасности в программы переподготовки кадров для этих систем.

Большинство критических приложений сейчас не требуют связи с Интернетом, тем не менее, эта ситуация изменится в будущем. Современные операционные системы включают в себя возможности для связи с Интернетом.

3.7. Классификация данных

Для того чтобы разработать эффективную политику безопасности, информация, хранимая или обрабатываемая в организации, должна быть классифицирована в соответствии с ее критичностью к потере конфиденциальности. На основе этой классификации потом можно легко разработать политику для разрешения (или запрещения) доступа к Интернету или для передачи информации по Интернету.

Большинство организаций используют такие классы, как "Коммерческая тайна" и "Для служебного пользования" . Классы, используемые в политике информационной безопасности, должны быть согласованы с другими существующими классами.

Данные должны быть разбиты на 4 класса безопасности, каждый из которых имеет свои требования по обеспечению безопасности - КРИТИЧЕСКАЯ ИНФОРМАЦИЯ, КОММЕРЧЕСКАЯ ТАЙНА, ПЕРСОНАЛЬНАЯ ИНФОРМАЦИЯ и ДЛЯ ВНУТРЕННЕГО ПОЛЬЗОВАНИЯ. Эта система классификации должна использоваться во всей организации. Лица, ответственные за информационные ценности, отвечают за назначение им класса , и этот процесс должен контролироваться руководством организации. Классы определяются следующим образом:

КРИТИЧЕСКАЯ ИНФОРМАЦИЯ: Этот класс применяется к информации, требующей специальных мер безопасности для обеспечения гарантий ее целостности, чтобы защитить ее от неавторизованной модификации или удаления. Это - информация, которая требует более высоких гарантий чем обычно в отношении ее точности и полноты. Примерами информации этого класса может служить информация о финансовых операциях или распоряжения руководства. КОММЕРЧЕСКАЯ ТАЙНА: Этот класс применяется к наиболее критической коммерческой информации, которая предназначена для использования ТОЛЬКО внутри организации, если только ее разглашение не требуется различными законодательными актами. Ее неавторизованное разглашение может нанести серьезный вред организации, ее акционерам, деловым партнерам, и/или клиентам. ПЕРСОНАЛЬНАЯ ИНФОРМАЦИЯ: этот класс применяется к информации о человеке, использование которой разрешено только внутри организации. Ее неавторизованное раскрытие может нанести серьезный вред организации и/или ее служащим. ДЛЯ ВНУТРЕННЕГО ПОЛЬЗОВАНИЯ: Этот класс применяется ко всей остальной информации, которая не попадает ни в один из указанных выше классов. Хотя ее неавторизованное раскрытие нарушает политику, оно не может нанести какого-либо вреда организации, ее служащим и/или клиентам. 4. Коммерческие требования

Коммерческие и другие организации используют Интернет потому,что он предоставляет полезные сервисы. Организации должны принять решение - будут ли использоваться или нет сервисы на базе Интернета на основании анализа бизнес-плана или плана развития информационных технологий. Другими словами, организации должны проанализировать свои потребности, выявить потенциальные методы их удовлетворения и уточнить их после учета требований со стороны безопасности помимо влияния других факторов.

Большинство организаций используют Интернет-сервисы для того, чтобы обеспечить улучшенное взаимодействие между подразделениями организации, или между организацией и ее клиентами, или чтобы сократить расходы на автоматизацию коммерческой деятельности. Безопасность должна учитываться прежде всего - один инцидент с безопасностью может зачеркнуть любые финансовые выгоды, предоставляемые соединением с Интернетом.

Может также существовать несколько технологических решений для удовлетворения коммерческих потребностей организации, некоторые из которых могут быть обезопасены легче, чем другие. Рисунок 4.1 показывает типичную сетевую архитектуру в организации для использования Интернета.

Оставшаяся часть этой главы кратко рассматривает основные сервисы, обеспечиваемые связью с Интернетом. В ней также будет указано с помощью каких средств безопасности надо защищать эти сервисы. В таблице 4.2 показано соответствие между имеющимися средствами безопасности и Интернет-сервисами, часто используемыми организациями. Крестики показывают, какие средства безопасности часто используются для организации безопасной работы данного сервиса. Некоторые из средств, такие как улаживание последствий инцидентов с безопасностью, обеспечивают безопасность для всех сервисов, в таких случаях знак стоит напротив тех сервисов, для которых данное средство необходимо.

Таблица 4.2 Использование средств безопасности для защиты сервисов

	Идентификация и аутентификация	Управление доступом	Брандмауэр	Средства контроля импортируемых про-грамм	Шифро- вание	Архитектура	Устранение последствий инцидентов	Организа- ционные меры
Удаленный доступ	X	X	X		X			X
Электронная почта	X			X	X			X
Публикация информации		X	X			X		X
Исследования		X	X	X		X		X
Электронная коммерция	X	X	X	X	X	X	X	X
Постоянная доступность						X		X
Легкость использования						X		X

4.1. Удаленный доступ

В настоящее время коммерческая деятельность все больше требует удаленного доступа к своим информационным системам. Это может объясняться необходимостью доступа сотрудников в командировках к своему электронному почтовому ящику, или необходимостью для продавцов удаленного ввода заказов на продукцию. По своей природе удаленный доступ к компьютерным системам приводит к появлению новых уязвимых мест в них из-за увеличения точек доступа к ним.

Существует три основных режима удаленного доступа:

Удаленный доступ к сервису - при этом виде доступ обычно ограничивается удаленным доступом к одному сервису, обычно почте. Такие продукты как Lotus Notes и cc:Mail поддерживают удаленный доступ к этим продуктам без предоставления доступа к каким-либо другим сетевым сервисам. Этот режим обычно является самым безопасным - число уязвимых мест ограничено. Удаленное управление позволяет удаленному пользователю управлять персональным компьютером, физически расположенным в корпоративной сети организации. Это может быть специальная компьютерная система или обычный компьютер, стоящий на рабочем месте пользователя. Удаленный компьютер используется только как клавиатура и дисплей. Удаленное управление ограничивает удаленных пользователей доступом к тем программам, которые запущены на корпоративном компьютере, что является плюсом с точки зрения безопасности. Некоторые продукты совместного удаленного доступа нескольких пользователей поддерживают также хороший аудит и протоколирование действий пользователей. При работе в режиме удаленного узла сети, удаленный компьютер соединяется с сервером удаленного доступа, который назначает удаленному компьютеру сетевой адрес. Все работающие программы находятся на удаленном компьютере вместе с локальной памятью. Режим удаленного узла предоставляет удаленным пользоваетлям доступ ко всем сетевым сервисам, если только не используется программы управления доступом. Режим удаленного узла стал самой популярной формой удаленного доступа, но его использование приводит к появлению наивысшего уровня уязвимости корпоративных систем.

Эти формы удаленого доступа могут быть реализованы с помощью коммутируемого соединения, сеансов telnetа, или использования программных продуктов, обеспечивающих удаленный доступ. Следующие разделы описывают уязвимые места различных методов удаленного доступа.

4.2. Коммутируемое соединение

Удаленный доступ по телефонным каналам стал самой популярной формой удаленного доступа. Обычно удаленный компьютер использует аналоговый модем для дозвона до модема в режиме автоответа, подключенного к корпоративному компьютеру. Методы обеспечения безопасности этого соединения включают:

Ограничение круга лиц, знающих о номерах телефонов, к которым подключены модемы - этот подход уязвим к автоматизированным атакам с помощью "боевых диалеров", простых программ, использующих модемы с автодозвоном для сканирования блоков телефонных номеров и выявления номеров с модемами. Использование пар имя-пароль - так как атакующему нужно подключиться к телефонной линии, чтобы узнать имя и пароль, коммутируемые соединения менее уязвимы к атакам с помощью перехватчиков паролей, которые делают многократно используемые пароли практическими бесполезными с глобальных сетях. Тем не менее, использование перехватчиков паролей на внутренних сетях, выбор в качестве паролей легко угадываемых слов, и социальная инженерия делают получение паролей легким. Часто злоумышленники представляются сотрудниками отделов технической поддержки для того, чтобы узнать у законных пользователей их пароли. Усиленная аутентификация - существует много методов, которые могут быть использованы для обеспечения или замены обычных паролей. Эти методы включают: Модемы с обратным звонком - эти устройства требуют от пользователя ввести имя и пароль при установлении соединения. Затем корпоративный модем разрывает соединение и ищет авторизованный номер телефона для данного пользователя. После этого он сам звонит по этому номеру и устанавливает соединение. Пользователь снова вводит имя и пароль для установления соединения. Этот подход уязвим к атакам переназначения звонка, и не обеспечивает гибкости, требуемой для установления соединения с отелями и аэропортами. Одноразовые пароли - системы запрос-ответ на основе криптографии, такие как S/Key Bellcore, и SecurID Security Dynamics. Они требуют, чтобы пользователь использовал программный или аппаратный генератор паролей. Эти устройства создают уникальный пароль для каждого сеанса и требуют, чтобы пользователь как знал имя и пароль, так и обладал генератором паролей. Хотя этот метод все-таки уязвим к атакам повтора сеанса, именно этот подход обеспечивает минимально допустимый уровень безопасности для большинства соединений с удаленным доступом. Аутентификация на основе местонахождения удаленного пользователя - новые технологии аутентификации используют такие технологии, как системы глобального позиционирования для реализации аутентификации на основе местонахождения. Если пользователь осуществляет соединение не из авторизованного места, доступ запрещен. Эта технология все еще ненадежна, дорога и сложна в использовании. Но она может оказаться уместной для многих приложений. Уязвимости при ее использовании связаны с возможностью атакующего дать фальшивую информацию о своем местонахождении. Большинство подходов используют криптографию для защиты от такой формы атаки.

В заключение можно сказать, что коммутируемый доступ обеспечивает злоумышленников точкой доступа к сети организации, даже если у организации нет доступа к Интернету.

4.3. Telnet/X Windows

Telnet и команды удаленного подключения к компьютеру, обеспечиваемые Unix, предоставляют возможность подключиться в режиме терминала к компьютеру по сети. Многие персональные компьютеры имеют TCP/IP-программы, которые предоставляют возможности telnet (В состав Windows'95 также входит такая возможность). По сути Telnet предоставляет подключение удаленного клиента в режиме текстового терминала к главному компьютеру по сети. Telnet обычно требует посылки пары имя-пароль по сетевому соединению в незашифрованном виде - серьезное уязвимое место с точки зрения безопасности.

X Windows предоставляет возможность удаленного подключения к компьютеру, поддерживающего графический интерфейс с пользователем, и передающего экранные образы, перемещения мыши и коды клавиш, нажатых пользователем, по сети. X Windows имеет слабые возможности по обеспечению безопасности, которые часто обходятся пользователями для упрощения процесса соединения.

4.4. Переносные компьютеры

В последние годы их использование значительно возросло из-за падения цен на них, уменьшения веса и размера. Рыночные исследования фирмы International Data Corporation показали, что в 1995 году одна четверть компьютеров были компьютерами-лаптопами. Большинство лаптопов, используемых коммерческими и государственными организациями, имеют высокоскоростные модемы, диски емкостью от 500Мб и выше. На них запускается большое число коммуникационных программ. Все чаще для использования их на рабочем месте применяются порты-расширители. Менее часто используется перенос дисковых накопителей на основе PCMCIA-карт между переносным компьютером и настольным компьютером в офисе.

Портативные компьютеры используются для решения коммерческих задач и часто с их помощью осуществляется удаленный доступ к корпоративным сетям. Хотя механизмы, используемые при соединении, те же самые, что и описанные выше (коммутируемый доступ, telnet и т.д.), использование переносных компьютеров приводит к появлению новых уязвимых мест.

Местоположение удаленного компьютера может часто меняться, может быть каждый день. Модемы с обратным дозвоном обычно бесполезны в такой ситуации. Удаленный компьютер часто используется в общественных местах, таких как самолеты и аэропорты. С помощью подглядывания из-за плеча могут быть раскрыты данные и пароли. Удаленный компьютер часто оставляется без присмотра в относительно небезопасных местах, таких как номер в отеле или арендованный автомобиль. Данные, хранимые на диске, уязвимы к копированию или неавторизованному чтению. Удаленные компьютеры часто теряются или крадутся в ходе командировок сотрудников, что приводит к компрометации всей информации. Служащие часто не хотят сразу сообщать о потере, что делает вполне возможным удаленный доступ злоумышленника. Некоторые большие организации (в которых используется более 4000 переносных компьютеров) теряют в среднем один портативный компьютер в неделю. Переносные компьютеры используют внутренние модемы для коммутируемого доступа, причем та же PCMCIA-карта (вернее встроенный в нее интерфейс с ЛВС) используется для доступа к сети организации, когда лаптоп находится в офисе. Если на работе имеется доступ к телефону, то встроенный модем может использоваться для организации коммутируемых входящих и выходящих соединений с BBS или провайдером Интернета.

Пользователи переносных компьютеров все чаще являются также пользователями сотовых телефонов, и ведут по нему разговоры, в которых раскрывается важная информация, связанная с безопасностью. Разговор по сотовому телефону уязвим к перехвату его криминальными элементами, конкурентами или журналистами. Использование сотовых или других форм радиомодемов для передачи данных увеличивает уровень уязвимости.

4.5. Электронная почта

Хотя мультимедийная форма WWW привлекает основное внимание, именно электронная почта способствовала росту Интернета. Использование электронной почты для осуществления важных деловых взаимодействий растет быстрыми темпами. Хотя электронная почта является дешевым способом взаимодействия с клиентами, деловыми партнерами, с ее использованием связан ряд проблем с безопасностью:

Адреса электронной почты в Интернете легко подделать. Практически нельзя сказать наверняка, кто написал и послал электронное письмо только на основе его адреса. Электронные письма могут быть легко модифицированы. Стандартное SMTP-письмо не содержит средств проверки целостности. Существует ряд мест, где содержимое письма может быть прочитано теми, кому оно не предназначено. Электронное письмо скорее похоже на открытку - его могут прочитать на каждой промежуточной станции. Обычно нет гарантий доставки электронного письма. Хотя некоторые почтовые системы предоставляют вам возможность получить сообщение о доставке, часто такие уведомления означают лишь то, что почтовый сервер получателя (а не обязательно сам пользователь) получил сообщение.

Эти уязвимые места делают важным для организации разработку политики, определяющей допустимое использование электронной почты для коммерческих целей.

4.6. Публикация информации

Интернет серьезно упрощает задачу предоставления информации гражданам общества, клиентам организации и деловым партнерам - по крайней мере тем, кто имеет компьютер, подключенный к Интернету. Сегодня в США около 35 процентов домов имеют персональные компьютеры, и только половина из них подключена к Интернету. Наверное только через несколько лет электронная публикация сможет догнать публикацию в газетах и журналах.

Тем не менее, любое использование средств электронной публикации информации, которое уменьшает число запросов информации по телефону или по почте, может помочь организации сократить расходы на эту статью и принести дополнительные прибыли. Существуют два вида публикации информации - принудительная и по инициативе читателя. Подписка на журналы - пример принудительной публикации - информация регулярно посылается подписчикам. Газетные киоски - пример публикации по инициативе читателя - читатели должны захотеть получить информацию.

Электронный эквивалент принудительной публикации - создание списка рассылки, в котором информация посылается всем, подписанным на этот список. Обычно для посылки сообщений в список рассылки, а также для включения в список рассылки или удаления из него используется специальная программа - сервер списка рассылки. Сервера списков рассылки относительно безопасны в том отношении, что пользователям не нужно иметь соединение с сетью организации, публикующей информацию, для получения информации. Тем не менее, они имеют несколько уязвимых мест:

Программа-сервер рассылки обрабатывает данные от пользователей для включения их в список, для удаления из их списка, или получения информации о самом списке. Существует много бесплатных программ-серверов рассылки, и ряд из них не проверяет до конца введенные пользователем данные. Злоумышленники могут послать команды Unix или очень большие строки для того, чтобы вызвать непредусмотренные режимы работы или совершить проникновение путем переполнения буфера. При неправильном конфигурировании сервер рассылки может сделать видимым список подписчиков для каждого подписчика. Это может дать информацию для проведения в дальнейшем атаки "отказ в обслуживании" или "социальная инженерия"

Существует два электронных эквивалента публикации по инициативе читателя, используемых в Интернете, - FTP-серверы и WWW-серверы. Оба они успешно заменили электронные доски объявлений(BBS), хотя ряд BBS все еще используются в правительственных учреждениях США.

Для предоставления FTP-сервиса в Интернете, практически все, что нужно - это компьютер и подключение к Интернету. FTP-сервера могут быть установлены на любой компьютер, работающий под управлением Unix, а также на многие, работающие под управлением Microsoft Windows. Имеется много коммерческих и бесплатных версий программ для FTP, часто как часть стека TCP/IP, обеспечивающего драйверы для подключения к сервисам Интернет. Они могут позволять осуществлять полностью анонимный доступ, где не требуются пароли, или они могут сконфигурированы так, что будут требовать для получения доступа к сервису пары имя-пароль. FTP-сервера обеспечивают простой интерфейс, напоминающий стандартный интерфейс Unix для работы с файлами. Пользователи могут получить файлы, а затем просмотреть их или выполнить, если у них есть соответствующие программы.

Если FTP-сервер неправильно сконфигурирован, он может предоставлять к ЛЮБОМУ файлу на компьютере-сервере, или даже в сети, присоединенной к этому компьютеру. FTP-сервера должны ограничивать доступ отдельным деревом поддиректорий, и требовать имя и пароль при необходимости.

Если вы не жили на необитаемом острове последние несколько лет, вы наверное знаете о колоссальном росте Всемирной паутины (WWW). Веб-сервера предоставляют дешевый способ публикации информации, содержащей текст, встроенные рисунки, или даже аудио и видео. Использование стандартов Гипертекстового Языка Разметки Документов (HTML) и Протокола передачи гипертекстовой информации(HTTP) позволяет пользователям легко копировать и просматривать Web-документы, несмотря на большое разнообразие клиентских платформ .

Хотя разработка профессионального веб-сайта сложна и дорога, любой компьютер, подключенный к Интернету, может выступить в роли веб-сервера. Имеется большое число как коммерческих, так и бесплатных программ WWW-сервера для различных операционных систем. Многие последние версии операционных систем включают программ, необходимые для организации веб-сервера, а также полезные программы-мастера, позволяющие автоматизировать установку и конфигурирование.

Как и FTP-сервера, WWW-сервера могут приводить к появлению серьезных уязвимых мест в корпоративных сетях при неправильной конфигурации. Смотрите раздел WWW для более подробной информации о политике безопасности для WWW- и FTP-серверов.

4.7. Исследования

Проведение исследований с помощью Интернета включает в себя использование клиентских программ для поиска и чтения информации с удаленных серверов. Клиентские программы могут быть следующих типов:

FTP - FTP-программы позволяют подключаться к удаленным системам, просматривать файловые структуры на них, и загружать оттуда файлы Gopher - разработан в университете Миннесоты, он по существу предоставляет графический интерфейс для выполнения просмотра и загрузки файлов в встиле FTP World Wide Web - веб-браузеры гораздо более удобны для чтения информации в Интернете. Программа-клиент для просмотра информации в WWW обычно имеет возможности FTP-клиента и Gopher-клиента, помимо расширенных возможностей мультимедиа. Специфические системы - существует ряд информационных систем на основе Интернета, которые требуют использования специальной программы-клиента, а не веб-браузера. Как правило они предоставляют доступ к информации, защищенной авторскими правами или информации, хранимой в реляционных базах данных.

Основной риск, связанный с использованием Интернета для исследований - это возможность занесения вирусов или других РПС. С появлением "макро-вирусов", которые содержатся в стандартных документах текстовых процессоров, загрузка документов стала такой же рискованной, как и загрузка выполняемых файлов. Кроме того, доступность "приложений-помощников" и загружаемых "апплетов" для обеспечения отображения файлов специальных форматов (таких, как PostScript) увеличила риск троянских коней. Смотрите политику для этой области в разделах про импорт программ и WWW.

Вторичным риском являются следы, которые программы-клиенты оставляют при просмотре содержимого информационных серверов в Интернете. Большинство серверов имеет возможность записывать как минимум IP-адрес клиента, а веб-сервера могут часть получить информацию о типе используемого браузера, последнем посещенном сайте, и адресе электронной почты, используемой в браузере, а также другую критическую информацию. Помимо этого, программа веб-сервера может сохранять файл "визиток"(cookie) на компьютере, где находится браузер, что позволяет серверу отслеживать визиты клиента на сервер и посещаемые им области.

4.8. Электронная коммерция

Использование компьютеров и сетей претерпело три фазы, или "волны":

Базовая автоматизация офиса - в эпоху мэйнфреймов с помощью компьютеров выполнялись такие функции, как биллинг, финансовые операции, ведение кадровых список. Сквозная автоматизация офиса - после появления ПЭВМ и локальных сетей с помощью компьютеров стали выполняться такие функции, как набор текстов, деловая переписка, финансовый анализ и т.д. Автоматизация взаимодействия с клиентами - после того, как ПЭВМ стали обычным явлением как дома, так и в оффисе, а Интернет сделал дешевым взаимодействие, контакты между компаниями и их клиентами (людьми, другими компаниями и т.д.) стали все чаще осуществляться с помощью компьютера.

Взаимодействие покупателя с продавцом с помощью компьютеров и сетей и есть электронная коммерция. В целях изучения безопасности мы разделим электронную коммерцию на 4 класса: электронная почта, электронный обмен данными, информационные транзакции и финансовые транзакции. Электронная почта была рассмотрена выше, следующие разделы будут описывать оставшиеся 3 класса.

4.9. Электронный обмен данными

Электронный обмен данными(EDI) - это термин, не нуждающийся в пояснениях. Простейшей его формой является обмен информацией между двумя бизнес-субъектами (называемых в EDI торговыми партнерами) в стандартизованном формате. Базовой единицей обмена является набор транзакций, который в общем соответствует стандартному бизнес-документу, такому как платежное поручение или накладная на товар. С помощью стандартов, основу которых составляют X.9 и UN/EDIFACT, деловое сообщество разработало группу стандартных наборов транзакций.

Каждый набор транзакций состоит из большого числа элементов данных, требуемых для данного бизнес-документа, каждый из которых имеет свой формат и место среди других элементов данных. Если транзакция содержит более , чем одну транзакцию(несколько платежных поручений в одну фирму), то группе транзакций будет предшествовать заголовок функциональной группы, а за группой будет следовать концевик функциональной группы.

Компании стали использовать EDI, чтобы уменьшить время и затраты на контакты с поставщиками. Так в автомобильной промышленности большие компании требовали от поставщиков использовать EDI для всех транзакций, что позволило сохранить огромное количество бумаги и значительно ускорить процесс поставки и сократить усилия на поддержание актуальности баз данных. Обычно для выполнения EDI-транзакций использовались частные глобальные сети, которые были дешевле, чем аренда выделенных линий, но предоставляли сервис надежной и безопасной доставки.

Интернет может обеспечить возможности взаимодействия, необходимые для EDI, по низким ценам. Но Интернет не обеспечивает сервисов безопасности (целостности, конфиденциальности, контроля участников взаимодействия), требуемых для EDI. Как и электронная почта в Интернете, транзакции EDI уязвимы к модификации, компрометации или уничтожению при посылке через Интернет. Использование криптографии для обеспечения требуемых сервисов безопасности изменило положение, и многие компании и правительственные агентства перешли на EDI в Интернете.

4.10. Информационные транзакции

Обеспечение информацией - основной и дорогой элемент коммерции. Информация в коммерции может иметь несколько форм:

Статические данные, такие как историческая информация, карты и т.д. Корпоративная информация, такая как телефонные номера, адреса, структура организации и т.д. Информация о продукции или об услугах Платная информация, такая как новости, периодические издания, доступ к базам данных и т.д.

Использование Интернета для предоставления этих сервисов гораздо дешевле, чем использование факса, телефона или обычной почты. Потенциальные клиенты могут искать и получать информацию в нужном им темпе, и это не будет требовать дополнительных затрат на службу технического сопровождения.

Обычно такие информационные сервисы используют WWW как базовый механизм для предоставления информации. Целостность и доступность предоставляемой информации - главные проблемы обеспечения безопасности, требующие применения средств безопасности и создания политики безопасности.

4.11. Финансовые транзакции

Так или иначе, но компьютеры и сети давно используются для обработки финансовых транзакций. Перевод денег со счета на счет в электронном виде используется для транзакций банк-банк, а банкоматы используются для операций клиент-банк. Авторизация покупателя с помощью кредитных карт выполняется с помощью телефонных линий и сетей передачи данных.

Для поддержания безопасности этих транзакций они выполняются с помощью частных сетей или шифруются. Использование частных глобальных сетей (как и для EDI) ограничивало возможности взаимодействия. И только Интернет дал дешевую возможность осуществлять финансовые транзакции.

Существует три основных класса финансовых транзакций и пять основных типов механизмов платежа:

Таблица 4.3. Платежи и финансовые транзакции

	Наличные	Чек	Дебит	Кредит	Электронный перевод фондов
Компания-компания		Основной			Вспомогательный
Компания-клиент	Основной	Вспомогательный	Вспомогательный	Вспомогательный
Клиент-клиент	Основной	Вспомогательный

Использование Интернета для выполнения этих типов транзакций позволяет заменить представление или показ наличных, чеков, кредитных карт их электронными эквивалентами:

Наличные - сейчас существует ряд конкурирующих подходов для реализации электронных денег, реализация которых еще находится на стадии разработки. Все эти методы используют криптографию для создания безопасных цифровых "бумажников", в которых хранится цифровая наличность. Передача электронных денег необязательно требует участия финансовых учреждений в качестве промежуточной стадии. Чеки - банковская индустрия разрабатывает стандарт для электронных чеков, определяющий как информация, содержащаяся в физических чеках, должна представляться в электронном сообщении. Электронные чеки всегда требуют участия финансовых учреждений при их передаче. Дебитовые карты - смарт-карты и карты с памятью могут хранить электронные деньги рядом способов. Каждая транзакция дебитует определенное количество, пока карта не опустеет. Карты с памятью не требуют использования финансовых учреждений. Кредитные карты - основные игроки в индустрии кредитных карт(Visa, Master Card, и American Express) разработали стандарт для выполнения транзакций с кредитными картами по глобальным сетям. Известный под названием Безопасные Электронные Транзакции (Secure Electronic Transactions), этот стандарт определяет трехэтапные транзакции между клиентом, продавцом и владельцем дебита кредитной карты, обычно банком. Транзакции электронных кредитных карт, использующие SET, всегда требуют участия финансового учреждения. Электронный перевод фондов(EFT) - он использует криптографию для обеспечения безопасности перевода фондов между банками и другими финансовыми учреждениями. Клиенты могут авторизовать банки на посылку и прием платежей с помощью EFT для клиента.

Каждая из этих форм электронных финансовых транзакций включает использование криптографии для обеспечения целостности, конфиденциальности, аутентификации и контроля участников взаимодействия.

4.12. Постоянная доступность для взаимодействия

По мере того, как Интернет становится более важным для выполнения повседневной деловой деятельности, к средствам обеспечения безопасности соединения с Интернетом все чаще предъявляются требования непрерывности работы. Эти требования часто оказывают большое влияние на политику безопасности, требуя компромиссных решений между стоимостью дублирующих комплектов и стоимостью временной работы без средств обеспечения безопасности.

Простым примером является брандмауэр. Брандмауэр может оказаться критическим местом - если он выйдет из строя, все связь с Интернетом может оказаться невозможной на время устранения аварии. Если временная потеря связи с Интернетом не оказывает большого влияния на деятельность организации, политика может просто определять, что работа с Интернетом прекращается до тех пор, пока не будет восстановлен брандмауэр. Для организаций с низким уровнем риска политика может позволять отключать брандмауэр и работать с Интернетом без него на время аварии. Тем не менее, если связь с Интернетом важна, или организация имеет высокий уровень риска, политика может требовать использования брандмауэра с горячим или холодным резервом. Задачи организации определяют, какое решение будет принято.

Для очень больших организаций производительность может также диктовать использование нескольких средств безопасности, таких как брандмауэры и сервера аутентификации. Например, организации, обеспечивающей деятельность нескольких тысяч внешних пользователей в Интернете, может потребоваться несколько соединений с Интернетом класса T1, что в свою очередь потребует использования нескольких брандмауэров. Организации с несколькими тысячами внутренних пользователей, имеющих тенденцию соединяться с системой в одно и то же время (утром, вечером и т.д.) может потребоваться несколько серверов аутентификации для того, чтобы время подключения было в допустимых пределах.

Основными способами удовлетворения требований постоянной доступности являются:

Планирование ресурсов. Замечен интересный феномен - как только брандмауэр установлен, пользователи начинают жаловаться, что соединение с Интернетом стало медленнее. Правильно выбранные средства безопасности, такие как брандмауэр, обычно не являются самым узким местом в системе. Но важно детальное планирование выделения ресурсов, так как средства безопасности, сильно уменьшающие производительность работы, будут быстро отключаться. Данные из спецификаций брандмауэров должны делиться пополам при моделировании нужной производительности, а производительность критических средств обеспечения безопасности должна проверяться и настраиваться в тестовой сети. Избыточность - для всех организаций, кроме тех, что имеют низкий уровень риска, необходим резервный брандмауэр в горячем резерве. Аналогично, использование серверов аутентификации или серверов безопасного удаленного доступа обычно требует наличия возможности быстро переключаться на резервный сервер. Синхронизация - вот главный вопрос при использовании резервных серверов безопасности - все обновления, резервные копии и модификации должны производиться на обоих системах. Восстановление - когда вышедший из строя блок восстановлен и принесен назад, должен осуществляться тщательный контроль его конфигурации. Должна быть проанализирована конфигурация программ и оборудования, чтобы гарантировать, что работают все необходимые продукты, их версии актуальны, и к ним применены все модификации и исправления, и что не добавлены или включены ненужные сервисы в ходе восстановления. Любые отладочные возможности, использовавшиеся для тестирования, должны быть удалены или отключены. 4.13. Легкость использования

Состав пользователей многих систем, подключенных к Интернету, может быть весьма разнообразным - от секретарей до ученых, от новичков до опытных пользователей. Частым бизнес-требованием является требование, чтобы все приложения можно было легко использовать среднему пользователю. Это требование трудно оценить, но с точки зрения безопасности часто оно переводится так: "если средство безопасности становится помехой людям при выполнении ими своей работы, вы должны отключить такое средство".

Двумя составными элементами легкости использования являются уменьшение числа раз, когда пользователь должен аутентифицироваться в системе и разработка интерфейса пользователей со средствами безопасности таким, чтобы он соответствовал уровню или предпочтениям пользователей системы. Эти вопросы обсуждаются в следующих разделах.

4.14. Единовременная регистрация

Для выполнения своих повседневных задач пользователю может понадобиться зарегистрироваться на большом числе компьютеров и сетей. Часто каждая система требует от пользователя ввода имени и пароля. Так как запоминание большого числа паролей для пользователей является трудным, это ведет к тому, что пароли пишутся на бумаге (и часто на мониторах ПЭВМ) или забываются. Другой реакцией пользователя является использование одного и того же пароля на всех компьютерах. Тем не менее, разные системы могут иметь различные правила для паролей или иметь различные периоды проверки корректности пароля, что может снова привести пользователей к записыванию нескольких паролей на бумаге.

Системы с одной аутентификацией в начале работы делают использование нескольких паролей прозрачным для пользователя. Это реализуется несколькими способами:

Некоторые системы просто создают скрипты, содержащие пары имя-пароль и команды входа в удаленные системы. Это освобождает пользователя от хлопот, но переносит их на обслуживающий персонал, которому требуется поддержание скриптов. Такие скрипты часто требуют безопасного хранения, и их неавторизованное использование может дать доступ ко всем системам, на которых зарегистрирован пользователь. Другой подход базируется на Kerberos и использует криптографию для передачи привилегий пользователя сети или серверу, к которому пользователю нужен доступ. Эти системы требуют создания и работы серверов привилегий, а также интеграции этой технологии в каждую систему, к которой должен иметь доступ пользователь. 4.15. Разработка пользовательского интерфейса

Разработка пользовательского интерфейса для средств обеспечения безопасности в Интернете должна быть согласована с интерфейсом других приложений, которые регулярно используются пользователями. Когда средства безопасности приобретаются, или встроены в приобретаемые приложения, пользовательский интерфейс находится вне зоны контроля организации. Но для средств, разработанных в организации, важно, чтобы интерфейс был удобен для пользователя, а не для сотрудника службы безопасности.

5. Примеры областей, для которых нужны политики

Ряд вопросов возникает после того, как вы прочитали в предыдущей главе про необходимость обеспечения той или иной комбинации бизнес-требований для работы в Интернете. Какие программно-аппаратные средства и организационные меры должны быть реализованы, чтобы удовлетворить потребности организации? Каков наш профиль риска? Каковы должны быть наши этические нормы для того, чтобы организация могла решать свои задачи с помощью Интернета? Кто за что должен отвечать? Основа ответов на подобные вопросы - это концептуальная политика безопасности для организации.

Следующие разделы содержат фрагменты гипотетических политик безопасности в отношении безопасной работы в Интернете. Эти фрагменты были разработаны на основе анализа основных типов средств безопасности (например, контроля за импортом, шифрования, архитектуры системы). Приводятся обоснования выбора именно таких политик, за которыми следуют сами тексты абзацев политики, выделенные в отдельный абзац с курсивом.

Каждая часть содержит несколько политик для использования при различных профилях риска, рассмотренных в главе 3. Для некоторых областей приводится несколько примеров для одного уровня риска, чтобы показать различные способы реализации безопасности.

Политики безопасности можно разделить на две категории - технические политики, реализуемые с помощью оборудования и программ, и административные политики - выполняемые людьми, использующими систему и людьми, управляющими ей.

5.1. Идентификация и аутентификация

Идентификация и аутентификация (ИдиА) - это процесс распознавания и проверки подлинности заявлений о себе пользователей и процессов. ИдиА обычно используется при принятии решения, можно ли разрешить доступ к системным ресурсам пользователю или процессу. Определение того, кто может иметь доступ к тем или иным данным, должно быть составной частью процесса классификации данных, описанной в разделе 5.6.

Эта глава предполагает, что было принято решение о том, что можно устанавливать соединения с внутренними машинами из Интернета. Если такие соединения запрещены, то в ИдиА нет необходимости. Многие организации отделяют системы, доступные из Интернета, от внутренних систем с помощью брандмауэров или маршрутизаторов.

Аутентификация через Интернет имеет ряд проблем. Достаточно легко можно перехватить данные идентификации и аутентификации (или вообще любые данные) и повторить их, чтобы выдать себя за пользователя. При аутентификации вообще пользователи часто выражают недовольство ею и часто совершают ошибки, что делает возможным получение данных ИдиА с помощью социальной инженерии. Наличие дополнительной ИдиА при использовании Интернета делает необходимым распространение среди пользователей данных для ИдиА , что будет лишь усложнять им работу. Другой проблемой является возможность вклиниться в сеанс пользователя после выполнения им аутентификации.

Существует три основных вида аутентификации - статическая, устойчивая и постоянная. Статическая аутентификация использует пароли и другие технологии, которые могут быть скомпрометированы с помощью повтора этой информации атакующим. Часто эти пароли называются повторно используемыми паролями. Устойчивая аутентификация использует криптографию или другие способы для создания одноразовых паролей, которые используются при проведении сеансов работы. Этот способ может быть скомпрометирован с помощью вставки сообщений атакующим в соединение. Постоянная аутентификация предохраняет от вставки сообщений атакующим.